[发明专利]一种基于对称密钥机制的密钥管理方法

说明书

技术领域

本发明涉及一种密钥管理方法，特别是涉及一种信息安全领域保护金融业务数据安全的基于对称密钥机制的密钥管理方法。

背景技术

密码技术是信息安全的基础技术，密钥则是密码技术安全应用的基础和信息化安全的核心元素。随着我国信息化产业的高速全面发展，作为信息安全基础核心的密码设备，在一直为信息产业与现代服务业发展提供安全的密码技术的同时，也面临越来越严格的安全要求。

在金融业务网络中，业务主机需要和大量交易终端安全地通信，系统的安全性要求不同密钥必须分隔使用，即每个交易终端的安全通信采用不同密钥，每个交易中的不同安全防护功能采用不同的密钥。另外，每次交易采用本交易独有的密钥，这种密钥分隔可以防止不同交易之间密钥泄露的相互影响，可以进一步增强金融业务系统的安全性。但是，密钥分隔要求业务主机配用的金融数据密码机保存大量的密钥，这增加了金融数据密码机实现的的复杂性。同时，密钥数量的增加也增加密钥管理的复杂性，复杂的密钥管理不但引起密钥管理开销的增加，同时也会降低密钥管理的安全性。

通常在金融业务系统中，采用对称密钥机制实现业务安全处理的高效性，但是，对称密钥机制需要管理数量巨大的密钥，从而造成密钥的存储、保护开销大，而且密钥自身的安全保护技术难度也相应增加。

对称密钥机制的显著特征是安全运算效率高，速度快，但密钥管理复杂，特别是近一步采用密钥分隔技术后，通常需要管理的密钥数量特别巨大。另外，密钥本身也需要更强的安全保护，从而进一步加重了密钥管理的复杂性。通常情况下，对称密钥机制中采用一个专用数据库来保存数量庞大的密钥，但采用专用数据库存储密钥解决密钥管理复杂性的方案存在管理复杂、管理开销大的缺点，而且存在不同密钥混用的安全隐患。另外密钥数据库的管理、维护开销大，密钥数据库的可靠性还可能影响整个业务系统的可靠性。

发明内容

本发明要解决的技术问题是提供一种密钥数量更小和密钥管理更简单的基于对称密钥机制的密钥管理方法，该方法每次交易都生成独立的密钥并在使用过后删除，该方法解决了对称密钥机制下密钥管理数量巨大的问题，密钥数量的减少使密钥管理更简单，而且，由于不配用专用密钥数据库存储密钥，密钥管理的复杂性和密钥管理开销也会得到显著的减少。

本发明进一步解决的技术问题是提供了一种动态的密钥管理方法，交易密钥随着交易计数器动态变化，采用现代密码技术产生的，安全强度高，一个交易密钥的泄露不会影响其它交易密钥，可靠性可以得到显著的改善。 

本发明采用的技术方案如下：一种基于对称密钥机制的密钥管理方法，其方法步骤为：

步骤一、金融数据密码机产生各个交易终端初始密钥，通过业务主机将初始密钥分发给各个交易终端，同时删除初始密钥；

步骤二、交易终端将初始密钥存储在终端密码模块中，并将交易计数器置零；

步骤三、初次交易时，交易终端采用初始密钥作为交易密钥完成初次交易，交易终端再根据初始密钥和交易计数器产生下次交易的交易密钥，同时删除初始密钥；

步骤四、当进行金融业务交易时，交易终端根据上次交易密钥和交易计数器产生交易的独有的交易密钥完成本次交易；

步骤五、每次交易完成后，交易计数器加1，然后用该交易密钥加密交易计数器的值，产生的密文作为下次交易的交易密钥，同时销毁本次交易的交易密钥；

步骤六、在交易计数器达到最大值时，更新初始密钥重复上述过程。

作为优选，金融数据密码机根据终端号生成初始密钥，初始密钥由根密钥、交易终端号、交易终端组号和交易计数器组成。

作为优选，所述初始密钥的衍生算法为：IKEY = SM4(RKEY)[T_group||T_number||0]。

作为优选，所述步骤一在初始密钥分发过程中将密钥分为多个密钥分量，然后再组合密钥分量成最终传输的初始密钥。

作为优选，所述交易密钥的衍生算法为：SKEY = SM4(SKEY_p)(T_group||T_number||TC)。

作为优选，所述每次交易时的具体方法步骤为：

A、每次交易时，业务主机应交易终端请求调用交易终端的终端密码模块产生本次交易的终端交易密钥；

B、终端交易密钥安全保护交易业务数据，形成安全报文，安全报文通过网络传送到业务主机；

C、业务主机将接收到的安全报文传送给金融数据密码机，金融数据密码机产生本次交易的密码机交易密钥；